PS-00033-2025

1/46  Expediente N.º: EXP202407852 Procedimiento Sancionador Nº. PS/00033/2025 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES..........................................................................................................2 PRIMERO: Reclamación recibida...............................................................................2 SEGUNDO: Traslado de la reclamación.....................................................................2 TERCERO: Respuesta al traslado.............................................................................2 CUARTO: Inadmisión a trámite inicial........................................................................5 QUINTO: Recurso de reposición frente a la inadmisión.............................................5 SEXTO: Trámite de audiencia a EVELB en el recurso de reposición.........................9 SÉPTIMO: Trámite de audiencia al Ayuntamiento de Redondela en el recurso de reposición................................................................................................................. 10 OCTAVO: Resolución estimatoria del recurso de reposición. Admisión a trámite.....11 NOVENO: Acuerdo de inicio de procedimiento sancionador....................................11 DÉCIMO: Alegaciones al acuerdo de inicio..............................................................11 UNDÉCIMO: Propuesta de resolución......................................................................11 DUODÉCIMO: Alegaciones a la propuesta de resolución.........................................11 HECHOS PROBADOS.................................................................................................11 FUNDAMENTOS DE DERECHO.................................................................................14 I.Competencia.......................................................................................................... 14 II. Procedimiento......................................................................................................14 III. Cuestiones previas..............................................................................................14 1. Responsable del tratamiento............................................................................14 2. Responsabilidad del encargado del tratamiento...............................................15 3. Brecha de disponibilidad de datos personales..................................................20 IV. Alegaciones al acuerdo de inicio y contestación a las mismas............................22 V. Alegaciones a la propuesta de resolución y contestación a las mismas...............25 VI. Obligación incumplida del artículo 5.1f) del RGPD..............................................35 VII. Tipificación de la infracción del artículo 5.1

1. f)del RGPD y calificación a efectos de prescripción......................................................................................................... 39 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/46 VIII. Sanción............................................................................................................. 40 RESUELVE.............................................................................................................. 44 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación recibida Con fecha 13 de agosto de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a EVELB TÉCNICAS Y SISTEMAS, S.L con NIF B70240320 (en adelante, EVELB o la parte reclamada). Los hechos que la parte reclamante pone en conocimiento de esta autoridad son los siguientes: manifiesta que sus datos personales se han visto afectados por una brecha de disponibilidad de datos sufrida por el Ayuntamiento en el que trabaja en tanto que DPD y secretario. Según indica, la auditoría de seguridad que se está llevando a cabo tras el ataque apunta a que el encargado del tratamiento no implantó las medidas de seguridad necesarias de conformidad con el RGPD, y cita, en particular, la ausencia de antivirus (que previamente habría facturado y cobrado el encargado) en los equipos informáticos del Ayuntamiento. Junto con su reclamación, no aporta documentación alguna, solicitando que: “En aplicación de la ley 39/2015 de procedimiento administrativo se solicita no tener que reenviar toda la documentación que ya esta en poder de su administración para que sirva en esta denuncia y que figura en el expediente ***REFERENCIA.1 de ese organismo.” SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación a EVELB, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, notificándose el mismo el 04/06/2024. TERCERO: Respuesta al traslado Con fecha de 27/06/2024 se presenta escrito de respuesta al traslado por parte de EVELB, en el que manifiesta lo siguiente: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/46 - EVELB no es responsable del tratamiento de los datos personales sino únicamente encargado del tratamiento de los datos personales a los que deba tener acceso para poder prestar el servicio de asistencia técnica que tiene contratado con el Ayuntamiento, de acuerdo con lo previsto en la cláusula 27 del Contrato de servicio de asistencia técnica del Ayuntamiento, que fue licitado y adjudicado a EVELB el 18-10-23 y se adjunta como documento 2 del escrito, junto al pliego de prescripciones administrativas particulares que regulaba dicha relación contractual, que se ceñía a un contrato de servicio, y no de suministro de equipos, ni programas informáticos. Y que las prestaciones a las que EVELB se obligó, son las relativas al mantenimiento preventivo y correctivo del hardware y software del Ayuntamiento – y en el Ayuntamiento – y asistencia técnica a los usuarios en las incidencias que pudieran surgir en el uso de los equipos para el desarrollo de sus trabajos, en los concretos términos y con el alcance que se prevén en ambos documentos. - Por tanto, EVELB no es ni el responsable del tratamiento ni el Delegado de Protección de datos, por lo que no ostenta responsabilidad en la brecha producida. - EVELB no ha tenido conocimiento de que se hubiese producido brecha alguna de seguridad ni que se hubieran puesto en riesgo los datos de carácter personal de los funcionarios públicos al servicio del ente local. Que el único episodio del que tiene conocimiento responde a una avería o fallo temporal del servidor del Ayuntamiento que supuso una pérdida de disponibilidad de los datos personales pero fue solventado a finales de septiembre de 2023, mediante la recuperación de una copia de seguridad de los datos personales afectados. Asegura EVELB que se acompaña como prueba de ello el documento 3, referido, según la reclamada, a la comunicación remitida por el técnico del servicio de ciberseguridad de la Agencia para la Modernización Tecnológica de Galicia (AMTEGA) en la que confirma que no se constata ningún incidente de ciberseguridad relacionado con un ataque, como la sustracción de información del servidor o la ejecución de algún tipo de malware. - Añaden que ““En definitiva, si bien el error en el servidor supuso una pérdida temporal en la disponibilidad de los datos, se subsanó mediante la restauración de la copia de seguridad, sin que ello generase ningún riesgo para la seguridad y confidencialidad de los datos de carácter personal ni, con carácter general, ninguna violación de seguridad que pudiera entrañar un peligro para los derechos y libertades de los funcionarios del Ayuntamiento”. Junto a su escrito de alegaciones presentan: - Documentación relativa a la constitución de EVELB como sociedad limitada unipersonal. - Copia del expediente ***REFERENCIA.2 relativo a la formalización del contrato administrativo con número ***REFERENCIA.3 de 26 de octubre de 2023 entre el Ayuntamiento de Redondela y EVELB respecto al servicio de asistencia C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/46 técnica informática del Concello de Redondela en el que, entre otros aspectos, se indica (en gallego en el original, traducción no oficial): “El contratista se obliga a realizar el servicio con estricta sujeción al Pliego de cláusulas administrativas particulares (…), de fecha 27.07.2023, y al de prescripciones técnicas (…) redactado y firmado electrónicamente con fecha 21.07.2023 por la coordinadora municipal de Nuevas Tecnologías, aprobados por resolución ***RESOLUCIÓN.1 de fecha 27.07.2023, que figuran en el expediente, documentos contractuales que acepta incondicionalmente y sin ninguna reserva”. - Copia del pliego de cláusulas administrativas particulares del Contrato de Servicio de asistencia técnica informática del Ayuntamiento de Redondela. Expediente ***REFERENCIA.2 en el que se señala lo siguiente (en gallego en el original, traducción no oficial. El subrayado es de la AEPD): “El objeto del presente contrato consiste en la realización de trabajos de asistencia preventiva y correctiva, de los equipos y sistemas físicos y lógicos para el tratamiento de la información, propiedad del Ayuntamiento de Redondela, así como la prestación de los servicios resultantes de las tareas propias de implantación y/o explotación que se deriven de los trabajos diarios en los diferentes edificios pertenecientes al Ayuntamiento de Redondela, incluyendo tareas de apoyo y asistencia a las/a los usuarias/os. (…) 27ª. Protección de datos personales De acuerdo con el dispuesto en el Reglamento Europeo de Protección de Datos, el Ayuntamiento es responsable del tratamiento de los datos de carácter personal necesarios para prestar el servicio. La adjudicataria de este contrato tendrá la condición de encargada/o del tratamiento, con el objeto de tratar por cuenta de este Ayuntamiento los datos de carácter personal necesarios para prestar dicho servicio. El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable a prestación de los tratamientos encargados. En ningún caso el encargado utilizará los datos para finalidades distintas. (…) El encargado del tratamiento deberá dar apoyo al Ayuntamiento lo en la realización de las evaluaciones de impacto relativas a la protección de datos, así como en la realización de las consultas previas a la autoridad de control y poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus deberes, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él. El encargado está obligado a adoptar las medidas de seguridad necesarias para el tratamiento de los datos personales. En todo caso, deberá implantar mecanismos para garantizar la confidencialidad, integridad y responsabilidad y resiliencia permanente de los sistemas y servicios de tratamiento; restaurar la disponibilidad y el acceso a los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/46 datos personales de forma rápida, en caso de incidente físico y técnico; verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento; seudonimizar y cifrar los datos personales. En caso de violación de la seguridad de los datos, el encargado del tratamiento notificará al Ayuntamiento o en su caso a la Autoridad de Protección de Datos, sin dilación indebida (…)”. - Captura de pantalla de lo que parece un mensaje de Whatsapp, sin identificación de la fecha de remisión, número del remitente o número de teléfono del destinatario, con el contenido siguiente: “Buenas tardes A.A.A., Durante estas horas hemos intentado mover la incidencia que nos han comentado esta mañana, contactando con varios responsables de los servicios especializados que os ofrecemos. Nos dicen que esa pérdida, aunque en ella se hayan visto afectados datos muy sensibles, no podemos considerarla un incidente de ciberseguridad relacionado con un ataque, como sustracción de información de ese servidor o la ejecución de algún tipo de malware en el mismo. Podríamos buscar algunas opciones que os ayuden con esa recuperación específica, pero ya en materia de protección de datos, acorde a la LPDCP. Te llamaré ahora para comentarlo. Un saludo, B.B.B. (…)”. CUARTO: Inadmisión a trámite inicial Con fecha 15/07/2024, de conformidad con el artículo 65 de la LOPDGDD, se inadmitió a trámite la reclamación presentada, notificándose dicha resolución a la parte reclamante y reclamada el 16/07/2024. QUINTO: Recurso de reposición frente a la inadmisión Con fecha de 13/08/2024 la parte reclamante presenta recurso de reposición frente a la resolución de inadmisión a trámite por la parte reclamante. El recurso, manifiesta, en síntesis, lo siguiente: - En primer lugar, rectifican que -tal y como señalaba la reclamación-el incidente se debiera a la falta de instalación del antivirus por la reclamada siendo la pérdida de datos sufrida por el Ayuntamiento causa de una avería del servidor sufrida el 8-9-23, lo que impidió el acceso a los datos contenidos en un aplicativo contable almacenado en uno de los servidores virtuales, lo que C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/46 paralizó la actividad económica del Ayuntamiento, impidiendo realizar todos los pagos excepto los de la nómina ordinaria de los empleados públicos (pagados por método de urgencia), retrasando considerablemente los demás, o impidiendo la gestión de subvenciones y cumplimiento de plazos. Y que no pudo restituirse la disponibilidad de los datos dado que no era posible recuperarlos de las copias de seguridad de respaldo que deberían haberse realizado por la parte reclamada, dado que así se había contratado con la misma en el Contrato de Asistencia Técnica y Pliego de Cláusulas administrativas suscrito con la misma, cuyo punto 2.4 hacía constar dicho deber. - Por lo que considera que de acuerdo con el artículo 28 del RGPD, EVELB debe responder como encargada del tratamiento ya que ha incumplido su obligación de prever medidas de seguridad en relación con las copias de seguridad, debiendo asumir responsabilidad por la brecha de disponibilidad producida. En concreto, puesto que tenía obligación de generar dichas copias diariamente, y al realizarse una auditoría se ha comprobado que no las había dejado correctamente configuradas y que este error se venía produciendo desde julio a septiembre de 2023, por lo que también estaba incumpliendo su deber de comprobar que las mismas se estaban generando correctamente. - Afirman que, de acuerdo con el informe emitido el 26-10-23 por la Interventora del Ayuntamiento, no es cierto que la reclamada fuera la que restableciera la disponibilidad de los datos aportando la copia de seguridad a la que se refiere en su escrito, sino que el Ayuntamiento se vio obligado a contratar los servicios de una experta en recuperación de datos, denominada ***EMPRESA.1, que fue la que logró recuperar una copia de seguridad obtenida del servidor antiguo en el que se hallaba anteriormente alojado el aplicativo contable, logrando obtener una copia del disco duro de 28/7/2023, que tuvo que se introducida manualmente en el nuevo servidor, originando múltiples incidencias que no se solventaron hasta el 9-10-23, teniendo entonces pleno acceso a los datos contenidos en dicha copia. En justificación de ello, aporta los contratos suscritos con esta empresa con fechas de 2 de octubre y 2 de noviembre de 2023. - EVELB sigue sin cumplir su obligación pues se ha comprobado que entre el 9 y el 24 de octubre de 2023, las copias de seguridad seguían dando errores. Y a fecha de interposición del recurso continúan sin realizarse dichas copias de seguridad. En acreditación de sus manifestaciones, se aporta un Informe de Cierre del Incidente del Ayuntamiento de 22 de noviembre de 2023 firmado por C.C.C. (como auditor contratado como asesor externo para la gestión del ciber incidente en representación de la empresa ***EMPRESA.2), cuyo detalle será expuesto en los Fundamentos de Derecho, en el que: (
2. i)Se describen las actuaciones realizadas para la gestión de la brecha por el Ayuntamiento, y para averiguar el origen del incidente: Se indica que constan dos informes realizados por la responsable de seguridad (Coordinadora de Nuevas Tecnologías) de 13 y 29 de septiembre de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/46 2023, otro de la interventora municipal de 26 de octubre de 2023, un correo electrónico de 4 de octubre de 2023 de la Coordinadora, y una reunión que se celebró con el Ayuntamiento el 2 de octubre de 2023, a la que acudió un técnico de EVELB, y un informe de la empresa propietaria del aplicativo ***APLICACIÓN.1 de 14 de noviembre de 2023. Y se adjuntan todos menos el correo electrónico de la coordinadora. (
3. i)Se señala que el origen fue la avería del servidor producida el 8-9-23, detectando que se habían perdido los datos incluidos en el aplicativo contable ***APLICACIÓN.1, pudiendo recuperar los demás sin incidencias. (
4. ii)Se indica la tipología de la información perdida a la que no se pudo tener acceso y fechas de recuperación de la misma, donde se incluían datos personales de personas físicas (empleados del Ayuntamiento), y servicios externos e internos que no se concretan. (iii) Se hace una valoración del impacto del incidente y pérdidas/daños ocasionados a causa de la falta de disponibilidad. (
5. iv)Se contiene un análisis de responsabilidad que apunta a la falta de copias de seguridad realizadas en el servidor virtual que se alquiló con EVELB para alojar el aplicativo contable que produjo errores de configuración generando copias que se reescribían en las anteriores sin almacenarse, debido a un error de configuración. (
6. v)Se menciona que existen antecedentes de que EVELB era la empresa que prestaba la asistencia técnica al ***AYUNTAMIENTO.1 cuando este sufrió un ataque de Ransomware cuya vulnerabilidad consistía precisamente, en aprovechar que no se estaban generando correctamente las copias de seguridad que EVELB debía realizar. (
7. vi)Se señala que a la fecha y hora de la firma del informe de cierre del incidente de 22-11-23 el estado de la disponibilidad de la información era total y permitía el ejercicio de los derechos a los titulares de los datos, el envío de los informes del estado de cuentas, el pago a proveedores y la gestión de las subvenciones con total normalidad en cuanto a falta de disponibilidad se refiere, encontrándose el Ayuntamiento en estos momentos poniéndose al día en los pagos que no había realizado. (vii) Se propone notificar la brecha a la Agencia y adoptar nuevas medidas dentro de un Plan de adaptación del Ayuntamiento al ENS. A dicho informe de cierre del incidente emitido por la empresa auditora externa, se adjuntan los siguientes Anexos: - Informe realizado por la Coordinadora de Nuevas Tecnologías del Ayuntamiento de 13 septiembre de 2023 (en gallego), cumpliendo con el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/46 requerimiento realizado por la Alcaldía para que se informase sobre las incidencias acaecidas durante los dos patrones de servicio producidos por una avería del 31-7-23, donde la responsable informa de los incumplimientos de los técnicos de EVELB tanto en la asistencia al puesto de trabajo como para resolver dicha incidencia (Pág.171 Exp). - Segundo informe realizado por la Coordinadora de Nuevas Tecnologías del Ayuntamiento de 29 de septiembre de 2023 requerido por la Alcaldía para informar sobre las incidencias acaecidas tras la avería de 8-9-23 a la que se refiere el presente procedimiento. (Pág.175 Exp). En gallego en el original, traducción no oficial:. “Que el pasado 8 de septiembre el servidor de aplicaciones del Concello de Redondela se averió de forma definitiva. Teniendo copias de seguridad diarias de toda la información, los técnicos municipales levantaron en otro servidor nuevo todo el sistema, todas las aplicaciones, el dominio corporativo y permisos de usuarios, todas las carpetas de datos de cada departamento, EXCEPTO la aplicación contable. Los departamentos de Intervención y Tesorería trabajan con un programa de la empresa ***EMPRESA.3 desde antes del año 2000, llamado ***APLICACIÓN.1. Este programa informático es el que contiene toda la información contable municipal, y trabaja con bases de datos de Oracle. Es un programa muy antiguo y por lo tanto con mucha complejidad en su estructura ya que tiene que ser modificado constantemente para poder adaptarlo a sistemas actuales en todos sus módulos. Requiere un sistema operativo obsoleto y descatalogado (Windows server 2009) y la versión del gestor de base de datos Oracle también está desfasada. Al instalar esta aplicación en otro servidor virtual creado exclusivamente para ***APLICACIÓN.1, con las características requeridas por el programa, y tratar de levantar el programa con las copias de seguridad que el Departamento realiza diariamente de toda la información de los servidores, estas copias no respondieron. Estamos a la espera de saber por qué sucede esto. El departamento de Nuevas Tecnologías está tratando de solucionar esta situación, recuperando los discos duros del antiguo servidor (a nivel electrónico), intentando acceder y poder exportar la información correcta, contactando con el soporte de Oracle y haciendo todo tipo de pruebas para recuperar esa información que está en esas carpetas pero que no conseguimos que se cargue en ***APLICACIÓN.1, de manera que el programa no funciona actualmente. Todo esto implica que desde el día 8 de septiembre de 2023 hasta el día de hoy TODO el personal de los departamentos de Intervención y Tesorería NO TIENE ACCESO a ninguna información contable del Concello de Redondela, ni de este año.” - INFORME DE LA INTERVENTORA MUNICIPAL de 26 de octubre de 2023. (Pag 177 exp) donde destaca la concreción del periodo durante el cual se había perdido la disponibilidad de los datos personales contenidos en el aplicativo contable al que se hará referencia posteriormente. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/46 - INFORME DE CONSULTORÍA-ACTUACION SISTEMAS, de la empresa ***EMPRESA.3, de fecha 14 de noviembre de 2023 (Pág. 181 Exp) con la que se contrató la aplicación de gestión contable ***APLICACIÓN.1, donde se informa de las acciones llevadas a cabo para recuperar la información perdida de la base de datos de Oracle instalada en el Servidor averiado, sin lograrlo, y recomendando acudir a una empresa especializada en recuperación. - Prescripciones técnicas particulares para la contratación servicio de asistencia técnica informática por el Ayuntamiento de Redondela firmado electrónicamente el 14/07/2020 (Pág.185Exp).En el punto 2.4 de las mismas se indica (en gallego en el original, traducción no oficial): - “(…) Las copias de seguridad deberán ser diarias y se harán de forma diferencial e incremental, además de la copia espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se deberá realizar una copia íntegra al final de cada año para su archivo en el archivo municipal, además de las de trabajo diario. - Se optimizará el sistema realizando estas copias por la noche, y se probará antes del inicio de la primera copia de seguridad, con una prueba de funcionamiento, que las copias sean correctas y no den errores. Los servidores a copiar estarán indicados por la técnica del servicio, pero incluirán carpetas de red con datos y también aplicaciones. El sistema debe asegurarse de que las copias sean correctas y en caso de error se enviará algún aviso automático al administrador del sistema. Las copias de seguridad deben incluir al menos un período de tiempo de una semana, para poder rescatar datos en al menos ese período de tiempo, sin restaurar la copia completa. El funcionamiento del programa back up será preferiblemente en segundo plano y consumiendo poco recursos, podrá clonar fiscos (físicos y virtuales) o particiones completas y permitirá restaurar el sistema en caso de bloqueo (…)” - Dos contratos de servicio con la empresa ***EMPRESA.1 para recuperar los datos perdidos celebrados el 2 de octubre de 2023 y 2 de noviembre de 2023, donde se hace constar el precio a facturar en 30 días (Pág.193 Exp). - Reportes del día 25 de octubre de 2023, sobre errores en las configuraciones de las copias de seguridad producidas durante el mes de octubre de 2023 (Págs 195-242 Exp). SEXTO: Trámite de audiencia a EVELB en el recurso de reposición Con fecha de 17/10/2024, se da trámite de audiencia en el recurso a la parte recurrida EVELB, que presenta escrito de alegaciones al recurso con fecha de 30/10/2024, señalando, en síntesis, lo siguiente: - Se insiste en que EVELB era encargado de tratamiento, y que sus funciones se limitaban la asistencia técnica informática del Ayuntamiento en virtud de contrato adjudicado mediante acuerdo de la Junta de Gobierno Local de 18 de octubre de 2023. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/46 - - - - - - - - Frente a la alegación de pérdida de datos debido a la falta de copias de seguridad, se alega que no ha existido una brecha de seguridad en este caso: por no haberse producido un ciber incidente de seguridad según lo que indica el técnico de la Agencia para la Modernización Técnológica de Galicia (en adelante, AMTEGA), ni un acceso no autorizado, destrucción o alteración de datos personales. Alega que no se han generado riesgos para los interesados, pues se recuperó la copia de seguridad de los datos personales. Que la ausencia de copias de seguridad, de ser el caso, sería una deficiencia de gestión de datos pero no una violación de seguridad de los datos personales. Que las capturas de pantalla que aporta la reclamante para justificar que las copias de seguridad continúan sin realizarse a fecha de octubre de 2023, se señala que corresponden a las del programa XESPOL, de la policía local, cuya responsabilidad no le corresponde a EVELB, sino a la empresa propietaria de dicho programa. “A raíz de este expediente, por parte del Ayuntamiento se revocaron todos los accesos, claves y permisos que tenía esta parte para la gestión de servidores, por lo que carece de fundamento y hasta de lógica reclamar el cumplimiento de un servicio cuando no se ha solicitado el mismo y se impide además cualquier acceso. Lo indicado puede ser corroborado por la persona responsable del servicio junto con la persona que desarrolla funciones de gestión de servidores y copias de seguridad en el Ayuntamiento”. Que el propio artículo 32 del RGPD se refiere al responsable y al encargado en conjunto, no únicamente al encargado, por lo que si alguna responsabilidad existiera sería compartida entre el encargado y el responsable. Y señala que el ayuntamiento ha incumplido sus deberes de notificar la brecha a la Agencia y a los interesados previstas en los artículos 33 y 34 del RGPD. La intención subyacente en el presente recurso no parece ser otra que soportar la resolución del contrato que mantiene con Evelb. Y que por ello se ha presentado esta reclamación que trae causa a las presentes alegaciones, se han revocado permisos de acceso a sus servidores, que existe un procedimiento de imposición de penalidades a EVELB iniciado por el Ayuntamiento. Las cuestiones relativas al cumplimiento del contrato adjudicado han de circunscribirse al ámbito de la ejecución del contrato dentro de la Ley de Contratos del Sector Público, siendo ello una instancia bien distinta a la presente. Sobre la intervención de EVELB en el ciberataque sufrido por el ***AYUNTAMIENTO.1: no tiene ninguna relación tiene con los hechos objeto de la reclamación, además de ser imprecisa, inexacta y completamente tergiversada. Que es necesario que concurra dolo o culpa de EVELB para imputar infracción administrativa del artículo 5.1.
8. f)del RGPD, de acuerdo con el artículo 28 de la ley 40/2025 del Régimen Jurídico del Sector Público, sin que exista actuación negligente ni, mucho menos, con dolo por parte de Evelb, por tanto, no cabría entender que se hubiera producido una infracción del artículo 5.1.
9. f)RGPD. La reclamada no aporta junto con su escrito ninguna documentación que sustente las afirmaciones realizadas. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/46 SÉPTIMO: Trámite de audiencia al Ayuntamiento de Redondela en el recurso de reposición Con fecha de 18/12/2024 se da trámite de audiencia al Ayuntamiento de Redondela como interesado del procedimiento, en tanto que entidad titular del servidor sobre el que se produjo el incidente y ente con el que la parte recurrida mantenía un contrato encargo, siendo el Ayuntamiento responsable del tratamiento y EVELB encargada del tratamiento. Dicho trámite le fue notificado el mismo día, sin que se hayan presentado alegaciones al respecto. OCTAVO: Resolución estimatoria del recurso de reposición. Admisión a trámite Con fecha de 22/01/2025 se dicta Resolución por esta Agencia Española de Protección de Datos, por la que se acuerda ESTIMAR el recurso de reposición interpuesto contra la resolución de esta Agencia dictada en fecha 15 de julio de 2024, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. Todo ello dado que, a la vista de la nueva documentación y datos aportados mediante el Recurso: “se observa la existencia de una brecha de disponibilidad de datos personales que afectó al Ayuntamiento de Redondela, cuya causa parece encontrarse en la ausencia de implementación de medidas técnicas y organizativas necesarias”. NOVENO: Acuerdo de inicio de procedimiento sancionador Con fecha 9 de septiembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
10. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. DÉCIMO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó con fecha 10/10/2025 escrito de alegaciones. Su contenido y la contestación a las mismas se contienen en el fundamento jurídico cuarto de esta propuesta de resolución. UNDÉCIMO: Propuesta de resolución Con fecha 2 de diciembre de 2025 se formuló propuesta de resolución, proponiendo “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a EVELB TÉCNICAS Y SISTEMAS, S.L, con NIF B70240320, por una infracción del Artículo 5.1.
11. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de CINCO MIL EUROS (5.000€)”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/46 DUODÉCIMO: Alegaciones a la propuesta de resolución Notificado la mencionada propuesta de resolución conforme a las normas establecidas en la LPACAP el 3/12/2025, la parte reclamada presentó con fecha 17/12/2025 escrito de alegaciones. Su contenido y la contestación a las mismas se contienen en el fundamento jurídico quinto de esta propuesta de resolución. HECHOS PROBADOS PRIMERO: A fecha de 8 de septiembre de 2023, el Ayuntamiento de Redondela y la empresa EVELB contaban con un contrato de “Servicio de asistencia técnica e informática” con el objeto siguiente: “El objeto del presente contrato consiste en la realización de trabajos de asistencia preventiva y correctiva, de los equipos y sistemas físicos y lógicos para el tratamiento de la información, propiedad del Ayuntamiento de Redondela, así como la prestación de los servicios resultantes de las tareas propias de implantación y/o explotación que se deriven de los trabajos diarios en los diferentes edificios pertenecientes al Ayuntamiento de Redondela, incluyendo tareas de apoyo y asistencia a las/a los usuarias/os SEGUNDO: En la cláusula 27 del pliego de cláusulas administrativas particulares del mencionado contrato se incluía un apartado relativo a la protección de datos de carácter personal en el que se confería al Ayuntamiento de Redondela la condición de responsable del tratamiento y a EVELB de encargado del tratamiento. Además, se establecía en relación con EVELB: “(…) El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable a prestación de los tratamientos encargados. En ningún caso el encargado utilizará los datos para finalidades distintas. (…) En todo caso, deberá implantar mecanismos para garantizar la confidencialidad, integridad y responsabilidad y resiliencia permanente de los sistemas y servicios de tratamiento; restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico y técnico; verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento; seudonimizar y cifrar los datos personales (…)”. TERCERO: Asimismo, en el punto 2.4 del mencionado pliego de cláusulas administrativas particulares se indica como obligación del adjudicatario EVELB: “2.4. Realización de copias de seguridad: Las copias de seguridad deben ser diarias y se realizarán de forma diferencial e incremental, además de la copia C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/46 espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se debe realizar una copia completa al final de cada año para archivarla en el archivo municipal, además de las copias de trabajo diarias. El sistema se optimizará realizando estas copias por la noche y se comprobará su correcto funcionamiento antes de iniciar la primera copia de seguridad. El técnico de servicio indicará los servidores que se copiarán, pero estos incluirán carpetas de red con datos y aplicaciones. El sistema debe garantizar que las copias sean correctas y, en caso de error, se enviará una notificación automática al administrador del sistema. Las copias de seguridad deben tener una duración mínima de una semana, para poder recuperar los datos al menos en ese periodo, sin tener que restaurar la copia completa. El funcionamiento del programa de copias de seguridad se realizará preferiblemente en segundo plano y consumirá pocos recursos. Podrá clonar discos (físicos y virtuales) o particiones completas, y permitirá restaurar el sistema en caso de fallo. Se proporcionará un NAS configurado para dichas copias, que al finalizar el contrato se transferirá al Ayuntamiento de Redondela”. CUARTO: El 08/09/2023 se produjo una avería de un servidor del Ayuntamiento de Redondela que contenía, entre otros, la aplicación contable del mencionado ayuntamiento (***APLICACIÓN.1). QUINTO: La aplicación ***APLICACIÓN.1 contenía toda la información contable del Ayuntamiento de Redondela y era la herramienta a través de la que se gestionaban los pagos de las personas físicas -funcionarias o no- empleadas o contratadas por el ayuntamiento. Además de otros datos básicos para hacer efectivos los pagos, ***APLICACIÓN.1 contaba con una relación personal de las horas de dedicación habitual de la jornada laboral y horas extras de los funcionarios municipales y de personal externo contratado (datos personales de índole económica). SEXTO: Consta acreditado en el Informe de cierre del incidente del Ayuntamiento de 22 de noviembre de 2023 de ***EMPRESA.2, así como en los informes de la Coordinadora de Nuevas Tecnologías del ayuntamiento de fechas 13 y 29 de septiembre de 2023, que al intentar recuperar la información de ***APLICACIÓN.1 contenida en el servidor averiado (incluidos los datos personales) no resultó posible, en tanto que no existían copias de seguridad válidas. En concreto, el mencionado informe de 22 de noviembre de 2023 señala: “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad ***EMPRESA.3 y comprobar que no son válidas”. SÉPTIMO: La ausencia de copias de seguridad válidas, generó la pérdida de disponibilidad de los datos personales contenidos en ***APLICACIÓN.1, desde el 8 de septiembre de 2023 hasta el 22 de noviembre de 2023, fecha en la que se obtuvo pleno acceso a los datos, de acuerdo con el mencionado informe de 22 de noviembre de 2023. El 9 de octubre de 2023 fue recuperada una copia de seguridad de 28 de julio de 2023, correspondiendo a los servicios del ayuntamiento la recuperación manual del C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/46 resto de datos personales y operaciones contables acaecidas entre el 28 de julio de 2023 y el 8 de septiembre de 2023. OCTAVO: Consta acreditado en el Informe de Cierre del Incidente del Ayuntamiento de 22 de noviembre de 2023, así como en los informes de la Coordinadora de Nuevas Tecnologías de fechas 13 y 29 de septiembre de 2023, que el motivo por el que las copias de seguridad que debían realizarse diariamente en el servidor virtual gestionado por EVELB no resultaran válidas era que no estaban correctamente configuradas y no se estaban realizando de forma efectiva, generándose archivos que se reescribían entre sí sin almacenarse adecuadamente. En el mencionado informe se señala: “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo (ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos” NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EVELB es una empresa constituida en el año 2010, dedicada al sector de la Programación, consultoría y otras actividades relacionadas con la informática, y con un volumen de negocios de 799.984 € en el año 2024. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/46 De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III. Cuestiones previas 1. Responsable del tratamiento El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Consta, por tanto, que el aplicativo contable empleado por el Ayuntamiento al que afectó la brecha de disponibilidad producida (***APLICACIÓN.1), registraba operaciones de tratamiento de datos personales que realizaba el Ayuntamiento respecto de personas físicas, puesto que contenía los datos necesarios para poder gestionar pagos, tanto a sus servicios internos y externos contratados (solo respecto de aquellos que fueren personas físicas), como a su propio personal, lo que implicaba realizar operaciones de recogida, registro, organización, estructuración de datos, extracción, consulta, utilización, y conservación, entre otros. 2. Responsabilidad del encargado del tratamiento. De acuerdo con lo previsto en el artículo 4.7 y 8 del RGPD, se considera: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/46 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Estos conceptos son autónomos, propios y específicos de protección de datos, en el sentido y en el contexto del RGPD, sin que puedan desfigurarse por mezclarse con otros de otros ámbitos del Derecho, tal y como disponen las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptadas el 7 de julio de 2021, en adelante, Directrices CEPD: “13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. Las Directrices CEPD destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/46 elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan los elementos básicos para determinar quién es el responsable del tratamiento en un caso concreto: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” En cuanto al concepto de encargado, las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
12. a)ser un ente independiente del responsable del tratamiento; y
13. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Precisamente porque uno de los requisitos para tener la condición de encargado del tratamiento es actuar por cuenta del responsable del tratamiento, el RGPD prevé el responsable del tratamiento responde tanto de los tratamientos realizados por sí mismo, como de los realizados por su cuenta o “bajo su autoridad”. De ahí que el RGPD, entre otros, en los artículos 28 y 29 del RGPD incida en que el encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable. No obstante, en casos de incumplimiento de las instrucciones del responsable, salvo obligación legal, el RGPD prevé su consideración como responsable del tratamiento, en la medida en que ha pasado a definir por sí mismo los fines y medios del tratamiento. En concreto, debe hacerse referencia al artículo 28.10 que señala: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/46 medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En la misma línea las Directrices del CEPD mencionadas determinan: “74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. (… ) 80 En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. 81. Actuar «por cuenta de» alguien también significa que el encargado no puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD cuando no se ciña a las instrucciones del responsable y comience a determinar sus propios fines y medios del tratamiento”. (…) 150. Si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD)”. Lo anterior significa que, si bien la regla general es que el responsable del tratamiento es responsable de los tratamientos realizados por sí mismo, y de los realizados por su cuenta, existen excepciones en las que el encargado o subencargado del tratamiento responderá como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales (
14. i)para fines que le sean propios o (
15. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/46 En línea con lo anterior, según la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21: “ 84. Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya. 85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. Así pues, en caso en el que el encargado infrinja las instrucciones del responsable sobre los fines y medios del tratamiento el encargado del tratamiento se considerará responsable en relación con dicho tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del responsable, de conformidad con lo previsto en el artículo 28.10 del RGPD. En el presente supuesto, ambas partes afirman que el Ayuntamiento era el responsable del tratamiento, y que la reclamada, EVELB era la encargada del tratamiento de los datos personales que fueran necesarios para poder prestar sus servicios de asistencia técnica, que habían sido objeto de un contrato suscrito con anterioridad a la avería del servidor a la que se refiere este expediente (8-9-23). Sin perjuicio de lo anterior, aunque ninguna de las partes ha aportado copia, ambas partes reconocen que existió un contrato de asistencia técnica vigente en el momento en que se produjo el incidente, y que, en el mismo se definía a la parte reclamada como encargada del tratamiento respecto de datos personales que fueran necesarios poder cumplir con las obligaciones contratadas. En concreto, la reclamada alega que según la cláusula 27 del Pliego: “La adjudicataria de este contrato tendrá la condición de encargada/o del tratamiento con el objeto de tratar por cuenta de este Ayuntamiento los datos de carácter personal necesarios para prestar el referido servicio. El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable la prestación de los tratamientos encargados. En ningún caso el encargado utilizará los datos para finalidades distintas” Entre las instrucciones facilitadas por el Ayuntamiento a EVELB para la realización del tratamiento de datos personales en su nombre destaca lo contenido en las Prescripciones técnicas particulares para la contratación servicio de asistencia técnica C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/46 informática por el Ayuntamiento de Redondela firmado electrónicamente el 14-072020, en cuyo punto 2.4, reproducido anteriormente, se establece la obligación de llevar a cabo copias de seguridad diarias, en horario nocturno, así como una prueba de funcionamiento de que las copias fueran correctas. Sin embargo, de acuerdo con el informe de cierre del incidente de ***EMPRESA.2 de noviembre de 2023, la brecha de disponibilidad de datos personales se produjo por “la falta de copias de seguridad válidas”, lo que, según el mencionado informe “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad ***EMPRESA.3 y comprobar que no son válidas”. En concreto, se señala que “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo ( ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos”. Lo anterior supone que EVELB habría incumplido las instrucciones facilitadas por el Ayuntamiento, siendo de aplicación, en consecuencia, el artículo 28.10 del RGPD. Por ello, se entiende que EVELB debe ser considerado como responsable administrativo de la infracción imputada en el presente procedimiento y, en consecuencia, nos encontramos en un supuesto en el que el encargado del tratamiento debe, ser considerado responsable del tratamiento con respecto a la no realización de las copias de seguridad válidas, así como verificación de las mismas que le habían sido encargadas en el Pliego de Prescripciones Técnicas. 3. Brecha de disponibilidad de datos personales. Por otra parte, el artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” De acuerdo con las Directrices 1/2021 sobre ejemplos de notificación de brechas de datos personales adoptadas por el Comité Europeo de Protección de Datos (en adelante, CEPD), así como las posteriores Directrices 9/2022 de notificación de brechas del mismo CEPD, existen varios tipos de brechas de datos personales (violaciones de seguridad según el tenor literal del RGPD), indicándose que: “En su Dictamen 03/2014 sobre la notificación de violación de datos personales4 y en sus Directrices WP 250, el Grupo de Trabajo del Artículo 29 explicó que las violaciones pueden clasificarse con arreglo a los siguientes tres conocidos principios de seguridad de la información:  «Violación de la confidencialidad»: cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos.  C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/46 «Violación de la integridad»: cuando se produce una alteración no autorizada o accidental de los datos personales.  «Violación de la disponibilidad»: cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos. Así mismo, dichas Directrices y la Guía de notificación de brechas publicada por esta Agencia en junio de 2021, establecen esta misma tipología, y en relación con las brechas de disponibilidad, establecen que quedan incluidas tanto las pérdidas temporales de datos personales a los que no se ha tenido acceso durante un periodo de tiempo, como las pérdidas definitivas de datos personales (también denominadas destrucción de datos personales), cuya disponibilidad no haya podido ser restablecida En el presente caso, la reclamada, reconoce que hubo una avería en el servidor y se perdieron los datos, pero niega su responsabilidad porque entiende que no se produjo una alteración o destrucción de datos personales ni un acceso no autorizado a los mismos, ni se produjo un incidente de ciberseguridad, y que, por tanto, no existió una brecha de datos personales. No obstante, tal y como se ha explicado, no cabe admitir estos argumentos de la reclamada en relación con la inexistencia de brecha, por lo siguiente: - Respecto a que no se ha originado por un incidente de ciberseguridad: Hecho no discutido y que no excluye la concurrencia de una brecha, hay que señalar que la reclamada, lejos de aportar evidencias al respecto, únicamente confirma el hecho de que se produjo una avería en el servidor que implicó la pérdida de datos personales, reconociendo, con ello, que existió una brecha de disponibilidad. En concreto, señala que: “El único episodio del que ha tenido constancia esta parte ha sido un fallo temporal en el servidor del Ayuntamiento de Redondela acaecido a finales del mes de septiembre de 2023, solventado satisfactoriamente mediante la recuperación de la copia de seguridad. Este fallo en el servidor no obedeció a ningún incidente de ciberseguridad, no supuso la destrucción de datos, su tratamiento ilícito ni el acceso por parte de terceros no autorizados”. Y dice aportar como evidencia de que no se ha producido un incidente de ciberseguridad el documento 3 -que según la misma se corresponde con la contestación de un técnico de ciberseguridad de la AMTEGA en relación con el incidente- que señala lo siguiente: “Durante estas horas, hemos intentado moverla incidencia que nos has comentado esta mañana, contactando con varios responsables de los servicios especializados que os ofrecemos. Nos dicen que esa pérdida, aunque en ella se hayan visto afectados datos muy sensibles, no podemos considerarla un incidente de ciberseguridad relacionado con un ataque, como la sustracción de información de ese servidor o la ejecución de algún tipo de malware en el mismo. Podríamos buscar algunas opciones para que os ayuden con esa recuperación específica, pero ya en materia de protección de datos, acorde a la LPDCP. Te llamaré ahora para comentarlo”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/46 Este documento no acredita que no se hubiera producido un incidente de ciberseguridad, ni tampoco que hubiera sido emitido por un técnico de citada Agencia de la Comunidad autónoma gallega, puesto que en el pie de firma aparece que su cargo es “Servicios de Seguridad del Acuerdo Marco”, no se contiene encabezamiento, por lo que se desconoce la fecha y destinatario, así como la vía de comunicación escogida, y pese a que se dirige a “A.A.A.” cuyo nombre coincide con la Coordinadora de Nuevas Tecnologías del Ayuntamiento, por su contenido parece que el citado técnico está incardinado en la organización de la reclamada. Y, además, el contenido de la comunicación confirma que se ha producido una pérdida de datos personales “sensibles” y que se está intentando la recuperación de los mismos. La reclamada parte de la premisa errónea de que solo existe brecha cuando el origen de la misma es un ataque malintencionado o externo. Debe recordarse al respecto que para que exista una brecha de disponibilidad de datos personales de acuerdo con el artículo 4.12 del RGPD, basta con que existan evidencias de que se ha producido una pérdida -temporal o definitiva- de datos personales, siendo indiferente que el origen de la misma. Por otra parte, entiende erróneamente que no existe brecha de datos personales porque no ha habido acceso no autorizado ni destrucción/alteración de datos personales, desconociendo con ello que además de las brechas de confidencialidad que se producen en casos de accesos no autorizados o las brechas de integridad que se producen en casos de alteración de datos, el artículo 4.12 del RGPD incluye también las brechas de disponibilidad, que se producen en supuestos de pérdida y/o destrucción de datos, como el presente. De forma que cuando la pérdida de datos personales es temporal porque los mismos se recuperan posteriormente, también concurre una brecha de disponibilidad. No es necesario que la pérdida sea definitiva (destrucción). - Por último, al indicar que no se han generado riesgos, también ignora la reclamada el hecho de que la pérdida de datos personales también genera riesgos para los derechos y libertades de sus titulares, que se ven privados de su poder de disposición sobre los mismos, habiéndose manifestado por el Ayuntamiento que, en este caso, sufrieron retrasos en los pagos y concesión de subvenciones. Por otra parte, la reclamada plantea una cuestión de falta de competencia de esta Autoridad para resolver sobre el presunto incumplimiento del contrato de servicios suscrito con el Ayuntamiento, indicando que: “Tampoco la ausencia de copias de seguridad, de ser el caso, implicaría que se hubiera vulnerado la seguridad de los datos personales, ya que esta falta podría ser vista como una deficiencia en la gestión de datos, pero no necesariamente como una violación de la seguridad de los datos personales. De ser este el caso la cuestión sería meramente contractual, si considera el Ayuntamiento que existe un cumplimiento del contrato defectuoso habría de acudir a las vías específicas para ello”. Al respecto de esta cuestión, cabe aclarar que no es competencia de esta Agencia determinar si concurre una posible responsabilidad administrativa de la reclamada por C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/46 posible incumplimiento del contrato de asistencia técnica suscrito con el Ayuntamiento, lo que deberá dilucidarse en el ámbito administrativo a través de los medios y ante los órganos previstos en el Texto Refundido de Ley de Contratos del Sector Público, como señala la reclamada. La actuación de esta Agencia se ciñe a determinar si concurre responsabilidad en materia de datos personales por parte de EVELB en la medida en que sus actuaciones supongan un incumplimiento del RGPD, dado que no cumplió con las instrucciones del responsable del tratamiento que le exigía la adopción medidas dirigidas a proteger la disponibilidad de los datos personales (realizar copias de seguridad). IV. Alegaciones al acuerdo de inicio y contestación a las mismas A continuación, se describen y contestan las alegaciones al acuerdo de inicio de la parte reclamada. Se sigue el orden expositivo del escrito de alegaciones. Antes de entrar en ellas, es preciso reseñar que, si bien la infracción es imputada a EVELB por la falta de realización de copias de seguridad adecuadas de los datos personales objeto de tratamiento, ninguna alegación se realiza a este respecto, limitándose la parte reclamada, como se verá, a excluir su responsabilidad en función de la posición que ocupa como encargado del tratamiento. Con ello, puede establecerse que EVELB no discute los hechos, sino la atribución de responsabilidad. 1. PRIMERA. Responsable del tratamiento Partiendo de la base de que el Ayuntamiento de Redondela tiene la consideración, en este supuesto, de responsable del tratamiento, alega EVELB que conforme artículo 5.2 de RGPD (“Responsabilidad proactiva”) sería esa entidad la que tendría que acreditar cuáles son las medidas que tiene establecidas para el cumplimiento de dicho Reglamento. A este respecto, afirma que “en cuanto del cuadro de características del pliego resulta que EVELB en ningún momento adquirió ninguna obligación en materia de protección de datos, y mucho menos para la implementación de medidas de protección de datos.” Recuerda que conforme a su cláusula 27ª, el pliego de prescripciones técnicas que regula la prestación del servicio indica expresamente que es el Ayuntamiento quien tiene la condición de responsable del tratamiento. A este respecto, se señala que, tal y como se señala en el fundamento jurídico III, apartado 2 “Responsabilidad del encargado del tratamiento” de esta propuesta de resolución, en el tratamiento de datos objeto del presente procedimiento efectivamente el Ayuntamiento de Redondela tiene la consideración de responsable del tratamiento de los datos personales y EVELB la de encargado. Dicho esto, en el fundamento jurídico citado se motiva extensamente por qué la responsabilidad por la infracción cometida debe ser imputada al encargado del tratamiento EVELB. En efecto, se ha constatado, que esta última tenía la condición de contratista del ayuntamiento y en el Pliego de prescripciones técnicas que regía la prestación de Administración y gestión informática de los servicios municipales, se establece la obligación de llevar a cabo copias de seguridad diarias, en horario nocturno, así como una prueba de funcionamiento de que las copias fueran correctas. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/46 Sin embargo, tal y como se recoge en los hechos probados, EVELB incumplió las instrucciones del responsable del tratamiento, y realizaba las copias de seguridad (
16. i)mientras el sistema funcionaba (
17. ii)permitiendo la sobrescritura entre copias (iii) sin realizar una copia de datos, únicamente de procesos y (
18. iv)sin comprobar a posteriori su adecuada realización. Conforme se motiva en el fundamento jurídico mencionado, el incumplimiento de las obligaciones sustanciales en materia de protección de datos impuestas al encargado del tratamiento, (lo que dio lugar a la brecha de disponibilidad) hace que la responsabilidad por la infracción corresponda en este supuesto a dicho encargado, EVELB. 2. SEGUNDA. Determinación de medios y fines del tratamiento Reitera en este punto EVELB la condición de responsable del tratamiento del Ayuntamiento. La prestación encomendada a la parte reclamada consistiría en la asistencia y apoyo técnico en las tareas de administración y gestión informática para el Ayuntamiento. Afirma a este respecto que “EVELB, en virtud del contrato celebrado entre las partes, no es la encargada de la protección de los datos personales del Ayuntamiento, ni actúa como delegada de protección de datos externos”. Se refiere la parte reclamada al artículo 28.10 del RGPD y a las Directrices 7/2020 del CEPD, sobre responsable y encargado del tratamiento. Alega que, conforme a la mencionada regulación, no todo incumplimiento de las instrucciones del responsable determina que el encargado del tratamiento pase a ser responsable del mismo, sino solo en los casos en los que dicho incumplimiento equivalga a una decisión por la que se determinen los fines y los medios del tratamiento. En el presente supuesto, afirma EVELB, esta en ningún caso determinó los fines y los medios del tratamiento, siendo dicha labor competencia del responsable, esto es, el Ayuntamiento. Procede, de nuevo, remitirse a lo extensamente motivado en el fundamento jurídico tercero, sin que esta alegación aporte ningún argumento nuevo al respecto. No obstante, se insiste en dos aspectos fundamentales: En primer lugar, en relación con el contenido del contrato al que hace referencia EVELB, se subraya que el pliego de cláusulas administrativas particulares del contrato del servicio de asistencia informática contenía en su clausula 27 una apartado relativo a la “protección de datos personales”, en el que se señalaba expresamente “la adjudicataria de este contrato tendrá la condición de encargada/o del tratamiento, con el objeto de tratar por cuenta de este Ayuntamiento los datos de carácter personal necesarios para prestar dicho servicio. El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable a prestación de los tratamientos encargados”. Por otra parte, se insiste en la interpretación realizada por el TJUE, que ya se incluía en el acuerdo de inicio, en su sentencia de 5 de diciembre de 2023 dictada en el asunto C-683/21, de la responsabilidad de un responsable respecto a la actuación de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/46 su encargado y, por ende, respecto al artículo 28.10 del RGPD, que abarca, en definitiva, casos como el presente en que el encargado hubiese incumplido las instrucciones facilitadas por su responsable. 3. TERCERO. Antecedente producido Alega EVELB que en el acuerdo de inicio del procedimiento sancionador se hace mención a la intervención de EVELB en el ciberataque sufrido por el ***AYUNTAMIENTO.1, mencionándose el mismo como “antecedentes” de EVELB en el Informe de Cierre del Incidente del Ayuntamiento de 22 de noviembre de 2023 redactado por un asesor externo. En relación con este incidente, considera que no cabe traerlo a colación en este procedimiento y que, en su caso, debió ser tenido en cuenta por el Ayuntamiento de Redondela en el proceso de adjudicación del servicio a EVELB. Reproduce a este respeto las disposiciones del RGPD y de las Directrices 7/2020 en relación con las precauciones que debe observar el responsable del tratamiento a la hora de elegir a un encargado. En relación con este argumento basta con indicar que la única referencia que contiene el acuerdo de inicio al incidente acaecido en el ***AYUNTAMIENTO.1 se contiene en la descripción del recurso de reposición interpuesto por la parte reclamante contra la inadmisión inicial de la reclamación. Este aspecto no es tenido en cuenta en ningún momento en el presente procedimiento ni para la determinación de la responsabilidad de EVELB, ni para la de la cuantía. 4. CUARTA. Culpabilidad Alega EVELB la inexistencia de culpabilidad en la infracción al no existir ni dolo ni culpa. No se trataría, en su opinión, de un incidente de ciberseguridad, sino que, tal y como se afirma en el acuerdo de inicio del procedimiento sancionador “el origen de la brecha se encuentra, inicialmente, en la avería de un servidor”, avería que, alega la parte reclamada, no podía haber sido predicha ni presagiada por EVELB. Respecto a esta alegación, debe señalarse que no se está imputando la infracción por el mero hecho de que se produjera una avería en el servidor, sino porque EVELB no había generado correctamente las copias de seguridad necesaria para el caso de que ocurrieran eventualidades como esta, la avería del servidor. De haber estado generada la copia de seguridad, no se habría producido la pérdida temporal de disponibilidad de datos personales que concurrió en este supuesto que es el objeto del presente procedimiento sancionador. Así, EVELB omite en sus alegaciones el contenido de la frase íntegra del acuerdo de inicio, descontextualizándolo, cuando este se pronuncia en este sentido: “El origen de la brecha se encuentra, inicialmente, en la avería de un servidor, no obstante, su materialización y extensión en el tiempo se debió a la carencia de copias de seguridad válidas, así como de las comprobaciones sobre la validez de las mismas por parte de la reclamada”. 5. QUINTA. Requerimientos. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/46 Se refiere en este apartado EVELB a un requerimiento que habría recibido para que acredite la resolución del contrato celebrado con el Ayuntamiento de Redondela. Informa de que está resuelto el contrato con el Ayuntamiento, y adjunta documento que constata la nueva adjudicación a otra empresa. Finalmente, en relación con el requerimiento que habría recibido para probar que le ha sido denegado el acceso a los sistemas del Ayuntamiento, contesta no estaría en condiciones de “acreditar un hecho negativo” Debe aclararse a este respecto que los “requerimientos” a los que se refiere EVELB se enmarcan dentro del fundamento jurídico del acuerdo de inicio que prevé la posibilidad de que la resolución que ponga fin a este procedimiento sancionador puede imponer, aparte de la sanción que corresponda, las medidas correctivas necesarias para subsanar los incumplimientos apreciados. Y a esos efectos es distinta la situación de si EVELB continúa siendo contratista del Ayuntamiento de Redondela (situación en que sería necesario imponer medidas correctivas) de haber dejado de serlo, en que ya no sería necesario. Toda vez que EVELB acredita que la prestación ha sido encomendada por el Ayuntamiento a una empresa distinta, ya no resulta necesaria la imposición de medidas, lo que se refleja en la propuesta de resolución y los documentos subsiguientes. V. Alegaciones a la propuesta de resolución y contestación a las mismas A continuación, se resumen y contestan las alegaciones a la propuesta de resolución de la parte reclamada. Se sigue el orden expositivo del escrito de alegaciones. 1. “PRIMERA: SOBRE EL OBJETO REAL DEL CONTRATO ADJUDICADO A EVELB Y LA POSICIÓN JURÍDICA QUE OCUPA CONFORME AL RGPD”. Reitera EVELB que, tal y como se deriva del contrato entre las partes, el Ayuntamiento tenía la condición de responsable del tratamiento, mientras que EVELB era el encargado del tratamiento, sin que pueda imponerse una “interpretación expansiva del artículo 28.10 del RGPD”. Así, pone como ejemplo una resolución de esta Agencia en la que se imputa un artículo 5.1
19. c)del RGPD a un Ayuntamiento. En contestación a estas afirmaciones, conviene señalar que, tal y como se incluye en las cuestiones previas del presente documento, la interpretación del artículo 28.10 del RGOP ha sido efectuado por el TJUE en la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21 que dice: “85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/46 responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. De acuerdo con lo anterior, el 28.10 se aplica, cuando el encargado (
20. i)trate los datos para fines que le sean propios o (
21. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En el presente caso, el contrato suscrito entre las partes exigía a EVELB la realización de copias de seguridad y también la comprobación de que estas funcionaran. Estas medidas de seguridad formaban parte de las instrucciones facilitadas al encargado de tratamiento en materia de seguridad, de acuerdo con lo previsto en el artículo 28.3
22. c)del RGPD. Por tanto, tal y como se indicaba ya en contestación a las alegaciones al acuerdo de inicio, y se recoge en los hechos probados “EVELB incumplió las instrucciones del responsable del tratamiento, y realizaba las copias de seguridad (
23. i)mientras el sistema funcionaba (
24. ii)permitiendo la sobrescritura entre copias (iii) sin realizar una copia de datos, únicamente de procesos y (
25. iv)sin comprobar a posteriori su adecuada realización”. En consecuencia, y en el respeto al concepto funcional de responsable y encargado del tratamiento, tal y como se explica en las cuestiones previas del presente documento, al que se remite, EVELB devino responsable del tratamiento y de ahí que se dirige contra esta el presente procedimiento sancionador. En cuanto a la resolución del procedimiento sancionador citada, ha de subrayarse que no resulta en modo alguno equiparable, en tanto que, en primer lugar, la infracción imputada era un 5.1
26. c)del RGPD, no un 5.1
27. f)del RGPD y no existía la figura del encargado del tratamiento. 2. “SEGUNDA: SOBRE LA INEXISTENCIA DE INFRACCIÓN DERIVADA DE LA SUPUESTA BRECHA DE DISPONIBILIDAD ALEGADA”. Insiste en que los hechos se produjeron como consecuencia de una avería en el servidor municipal, propiedad del ayuntamiento y del que este es responsable. Reitera, de nuevo, que no se produjo un “acceso ilegítimo, ni intrusión, ni divulgación de datos personales, ni destrucción o alteración ilícita, lo que demuestra que no concurren las características típicas que justifican sanciones basadas en medidas de seguridad inadecuadas”. Hace referencia a dos procedimientos sancionadores tramitados por esta Agencia PS/00406/2024 (respecto al que sostiene que “ha de tenerse en cuenta la obsolescencia de los sistemas en la prestación de los servicios y en las limitaciones C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/46 técnicas”) y EXP20241683 (respecto al que asegura “que la disponibilidad debe valorarse atendiendo a la recuperación efectiva de la información y a las circunstancias concretas del caso”). En contestación a las alegaciones anteriores, debe reiterarse la definición de una brecha de disponibilidad de datos personales cuya existencia resulta negada de manera reiterada por la parte reclamada que solo reconoce la existencia de brechas de confidencialidad y de integridad. Así, una brecha de disponibilidad de datos personales (llamadas “violación de seguridad” en el artículo 4.12 del RGPD), de acuerdo con las Directrices 09/2022 ya citadas, tiene lugar “cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos”. Por tanto, existirá brecha de disponibilidad tanto cuando la pérdida de los datos sea permanente, como cuando sea temporal. Así lo señalan las mencionadas directrices: “21. Por tanto, un incidente de seguridad que provoque la no disponibilidad de los datos personales durante un período de tiempo es también un tipo de violación, ya que la ausencia de acceso a los datos puede tener un impacto significativo en los derechos y las libertades de las personas físicas (…)”. No debe confundirse, por tanto, una brecha de datos personales que afecta a los datos con un incidente técnico o de ciberseguridad. Existirá o no brecha de datos personales en función de si, a raíz de un incidente, existen datos personales afectados y si se ven afectados en alguno de sus tres elementos (acceso no autorizado, integridad o disponibilidad). En el presente caso, se produjo, como indica la parte reclamada una avería en el servidor del ayuntamiento, lo que supone un incidente. Ahora bien, de haber contado con adecuadas copias de seguridad (como ocurrió respecto a los otros tres servidores), esta incidencia no se hubiera materializado en una brecha de disponibilidad de datos personales, puesto que hubiese existido una copia de los datos y no se habría producido su pérdida (aun cuando fuera temporal), habiendo sido restituidos inmediatamente. Por último, se subraya que los procedimientos sancionadores citados no resultan aplicables al presente supuesto, en tanto que versan sobre otras cuestiones no equiparables a las que son objeto de este procedimiento sancionador. Así, en el primero de los supuestos, se imputa a una entidad una brecha de confidencialidad (no de disponibilidad) a raíz de realizar notificaciones de actos administrativos de manera conjunta. En el segundo de los casos, precisamente porque existía un sistema de copia de seguridad, no se apreció la concurrencia de una brecha de disponibilidad, sino únicamente de confidencialidad. 3. “TERCERA: AUSENCIA DE ACREDITACIÓN SUFICIENTE DE QUE LA CONFIGURACIÓN DE COPIAS DE SEGURIDAD FUERA RESPONSABILIDAD DE EVELB”. Manifiesta EVELB que la propuesta de resolución descansa exclusivamente en informes elaborados internamente por el ayuntamiento y por consultoras contratadas por este, lo que genera, en suma, indefensión. Asimismo, sostiene que el sistema ***APLICACIÓN.1 dependía de proveedores externos y se encontraba obsoleta. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/46 Al respecto, se subraya que el presente procedimiento sancionador se ha fundamentado en la documentación obrante en el expediente, aportada a raíz de la reclamación recibida, o bien por el ayuntamiento o bien por la propia parte reclamada. Así constan en el expediente informes de terceras entidades (Informe de cierre de incidente de ***EMPRESA.2 SL, así como el Informe de Consultoría de TSystem, proveedor del sistema, ambos de noviembre de 2023, entre otros), pudiéndose haber aportado a lo largo del procedimiento los informes o documentación que EVELB hubiera considerado oportunas. Estos informes, junto con el resto de la documentación que obra en el expediente han sido valorados y analizados por parte de esta Agencia a efectos de determinar los hechos, la responsabilidad y el alcance de la infracción. Así, no cabe sino subrayar que la apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 9 de septiembre de 2025 que fue debidamente notificado a la parte reclamada el 30 de septiembre de 2025, en el que se imputaba la presunta infracción del artículo 5.1
28. f)del RGPD, tipificado en el artículo 83.5 del RGPD, se fijaba una sanción inicial de 5.000 euros y se daba a la reclamada plazo para alegaciones. Asimismo, el 2 de diciembre de 2025 se dictaba propuesta de procedimiento sancionador en la que se confirmaban los elementos anteriores y se otorgaba un nuevo plazo para la presentación de alegaciones, además de contestar las alegaciones efectuadas al acuerdo de inicio. La propuesta de resolución fue notificada el 3 de diciembre de 2025. Por tanto, como consecuencia de la apertura del procedimiento sancionador, la reclamada ha podido solicitar las pruebas que ha considerado oportunas conforme al artículo 77 de la LPACAP, formular alegaciones y presentar cuanta documentación hubiese considerado relevante, sin que, por tanto, se aprecie la existencia de indefensión. En relación con las manifestaciones efectuadas sobre la plataforma ***APLICACIÓN.1, se subraya que lo anterior no obsta para que, de haber cumplido la parte reclamada con sus obligaciones, esto es, la realización de copias de seguridad y, especialmente, la comprobación de su adecuado funcionamiento hubiera podido alertar, en el cumplimiento de sus obligaciones conforme al artículo 28 del RGPD y, en caso de así haberse producido, al responsable de la existencia de problemas con el sistema. 4. “CUARTA: SOBRE LA INEXISTENCIA DE DOLO O NEGLIGENCIA GRAVE Y LA VULNERACIÓN DEL PRINCIPIO DE CULPABILIDAD” Señala EVELB que se ha incumplido el principio de culpabilidad, puesto que no se ha probado que incurriera en una conducta negligente o agravante que justificara una sanción. Además, apunta supuestos incumplimientos del ayuntamiento relativos a la ausencia de medidas de seguridad adecuadas, obsolescencia de los sistemas, así como la ausencia de notificación de una brecha. Insiste en que el principio de integridad y confidencialidad del artículo 5.1
29. f)del RGPD no exige una garantía absoluta, sino medidas razonables y adecuadas al riesgo y en que los “sistemas no quedaron obstruidos ni irrecuperables”. Hace referencia, en este sentido a un recurso de reposición del PS/00343/2024 en el que se señala que “los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que una C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/46 comunicación no autorizada de datos personales o un acceso no autorizado a dichos datos por parte de un tercero basten para concluir que las medidas adoptadas por el responsable del tratamiento no eran apropiadas”. En contestación a lo anterior, conviene hacer una serie de matizaciones: - En cuanto a la ausencia de principio de culpabilidad: El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 31/46 “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 32/46 Tal y como figura en los hechos probados el Informe de cierre del incidente de 22 de noviembre de 2023 de ***EMPRESA.2, “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad ***EMPRESA.3 y comprobar que no son válidas”. Asimismo, en el mismo informe, se recoge “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo (ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos”. Asimismo, en los pliegos de cláusulas administrativas particulares relativas al contrato suscrito entre el ayuntamiento y EVELB se preveía en el apartado 2.4 en concreto la obligación de copias de seguridad diarias, en horario nocturno, entre otros aspectos, además de la comprobación de su adecuado funcionamiento - En relación las supuestas vulneraciones que, según EVELB, fueron llevadas a cabo por el ayuntamiento, se señala que estas no son objeto del presente procedimiento sancionador. Además, se subraya que corresponde al responsable del tratamiento la determinación de las medidas de seguridad que habrá de aplicar el encargado, debiendo este cumplir con sus instrucciones. - Por último, en relación con las medidas exigibles en virtud del RGPD, omite la parte reclamada que en este supuesto nos entramos con que la ausencia de cumplimiento de instrucciones precisas facilitadas por el Ayuntamiento a EVELB relativas a la manera en que habían de realizarse copias de seguridad, así como la comprobación de su correcto funcionamiento. Como consecuencia de este incumplimiento de las instrucciones del Ayuntamiento, se materializó una brecha de disponibilidad de datos personales durante 2 meses y medio que, finalmente, fue subsanada por el ayuntamiento sin la participación de EVELB que, hasta la fecha continúa negando su existencia. Por tanto, no nos encontramos ante un supuesto generalizado de falta de medidas adecuadas al riesgo, como pretende hacer entender EVELB haciendo referencia a un párrafo descontextualizado de otro procedimiento en el que ni las circunstancias ni la imputación resultan aplicables a este supuesto. En cualquier caso, conviene subrayar que tal y como recuerda la SAN de 29 de octubre de 2024, rec. 1824/2021: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 33/46 Es decir, no basta con el diseño de medidas adecuadas al riesgo, sino que ha de asegurarse su adecuada implementación. En este sentido, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo. 5. “SOBRE LA RESPONSABILIDAD EXCLUSIVA DEL AYUNTAMIENTO EN MATERIA DE SEGURIDAD DEL TRATAMIENTO Y LA DETERMINACIÓN DE LOS MEDIOS ESENCIALES”. Reitera EVELB que la AEPD realiza una interpretación excesiva del artículo 28.10 del RGPD al “considerar que la ejecución material de copias de seguridad equivale a la determinación de medios esenciales del tratamiento, cuando dicho precepto solo resulta aplicable en aquellos supuestos en los que el encargado actúa por cuenta propia, fuera del marco de instrucciones del responsable, adoptando decisiones autónomas sobre elementos fundamentales del tratamiento, circunstancia que no concurre en este caso”. Insiste, en consecuencia, en que las obligaciones previstas en los artículos 24 y 32 del RGPD solo son exigibles al responsable del tratamiento del que asegure que, en este supuesto, incumplió con sus obligaciones por tanto que no “realizó actuaciones preventivas respecto al estado obsoleto del sistema, ni llevó a cabo labores de supervisión”. Al respecto, no cabe sino reiterar que la interpretación del artículo 28.10 del RGPD ha sido realizada por el máximo intérprete del RGPD, esto es, el TJUE y remitir no solo a las cuestiones previas contenidas en los fundamentos de derecho de este documento, sino a la contestación de la primera de las alegaciones a la propuesta de resolución. 6. “SOBRE LA DESPROPORCIÓN DE LA CUANTÍA PROPUESTA”. Asegura EVELB que la cuantía propuesta resulta desproporcionada y carente de motivación, en particular atendiendo a los siguientes elementos: (
30. i)EVELB es una empresa pequeña que siguió las instrucciones del ayuntamiento y se vio limitada por las condiciones contractuales y de infraestructura de este. (
31. ii)No se realiza una adecuada valoración de: - Nivel de daño real. - Ausencia de intencionalidad. - La empresa no obtuvo beneficio alguno ni actuó en fraude de normativa. - La inexistencia de perjuicio para los empleados y que no hubo “alteración, acceso indebido o divulgación de sus datos personales”. En contestación a lo anterior, conviene hacer una serie de precisiones: - En relación con la alegada ausencia de motivación de la cuantía impuesta, tanto el acuerdo de inicio como la propuesta de resolución contenían un fundamento de derecho específico a efectos de motivar la cuantía de la infracción. Asimismo, este se encuentra en la presente resolución en el fundamento de derecho octavo. Sin ánimo de reproducir lo contenido en este fundamento de derecho, al que se remite, conviene subrayar que este contiene C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 34/46 de manera específica los criterios seguidos a efectos de fijar la cuantía de la multa, de acuerdo con lo previsto en el artículo 83.2 del RGPD, así como siguiendo las Directrices 04/2022 del CEPD. En este sentido, se han tomado como punto de partida el volumen de negocios de EVELB, así como el hecho de que la infracción imputada se encuentra tipificada en el artículo 83.5 del RGPD. Además, se han tenido en cuenta diversas circunstancias para determinar el nivel de gravedad de la infracción, (que no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve). El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
32. a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
33. b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
34. g)las categorías de los datos de carácter personal afectados. Así, en relación con las circunstancias del artículo 83.2
35. a)del RGPD se recoge en particular (
36. i)el impacto sobre el derecho a la protección de datos de los afectados, teniendo en cuenta el propósito del artículo incumplido; (
37. ii)la duración de la brecha de disponibilidad, que excedió los 2 meses y medio; (iii) el número de afectados, la totalidad de trabajadores del ayuntamiento, así como otras personas físicas externas (
38. iv)que el incumplimiento se produjo sobre un único servidor y no sobre los 4 que tenía encomendados EVELB. Por otra parte, respecto al artículo 83.2 b), se ha tenido en cuenta la especial negligencia (que no intencionalidad, como señala la reclamada) en las actuaciones. Por último, en cuanto a las circunstancias del artículo 83.2 g), se tiene en cuenta la especial sensibilidad de los datos objeto de tratamiento que se vieron afectados por la brecha, puesto que eran datos de índole financiera. Sobre esa base, se ha valorado una única circunstancia agravante, la prevista en el artículo 76.2
39. b)de la LOPDGDD en relación con lo previsto en el artículo 83.2
40. k)del RGPD, que atendiendo al sector de actividad al que se dedica la parte reclamada, resulta de indubitable aplicación. - En cuanto a la alegada ausencia de proporcionalidad, se remarca, además, que el tamaño de EVELB ha sido tenido en cuenta a la hora de fijar la cuantía de la multa, precisamente porque el volumen de negocios es uno de los elementos esenciales a tener en cuenta para fijar una multa que sea proporcionada, eficaz y disuasoria, así como adaptada a las características concretas del caso concreto, de acuerdo con lo previsto en el artículo 83.1 del RGPD. En este sentido, se ha partido de la base de que el volumen de negocios de EVELB en el año 2024 era de 799.984 euros. - Por último, en cuanto a los aspectos concretos señalados por EVELB: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 35/46 1. No cabe apreciar la alegación relativa a que EVELB siguió las instrucciones del ayuntamiento, precisamente porque incumplió lo previsto en el contrato, convirtiéndose así en responsable del tratamiento al pasar a determinar fines y medios. 2. En cuanto a la intencionalidad, como ya se ha determinado, se ha tenido en cuenta en el presente caso la especial negligencia en la actuación de EVELB, no la intencionalidad. 3. En cuanto a la ausencia de beneficio económico por parte de EVELB a raíz de lo ocurrido, el artículo 76.2
41. c)de la LOPDGDD prevé como agravante los beneficios obtenido como consecuencia de la comisión de una infracción. No obstante, debe especificarse que, de acuerdo con la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
42. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
43. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” 4. Señala EVELB que no actuó “en fraude de la normativa”, pero ignora, una vez más, que su actuación supuso una vulneración de la normativa en materia de protección de datos. 5. Insiste la reclamada en que no hubo perjuicio para los empleados y que no se produjo una brecha de confidencialidad o de integridad. No obstante, omite, una vez más que el objeto del presente procedimiento sancionador fue una brecha de disponibilidad de los datos personales que repercutió negativamente en los cobros de las nóminas de los empleados del Ayuntamiento, así como otras personas físicas. Atendiendo a lo anterior, no cabe estimar las alegaciones presentadas. VI. Obligación incumplida del artículo 5.1f) del RGPD Establece el artículo 5.1.
44. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
45. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 36/46 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Tal y como se ha señalado, según las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD, se produce una «brecha de confidencialidad» cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos por terceros no autorizados; una «brecha de integridad» cuando se produce una alteración no autorizada o accidental de los datos personales; y una «brecha de disponibilidad» cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos. El principio de integridad y confidencialidad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y disponibles, sin perjuicio de que únicamente puedan ser accesibles o modificados por aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el responsable del tratamiento. En el presente caso, de las evidencias que se contienen en la documentación aportada por ambas partes, se deduce que con fecha de 8-9-23 se produjo una avería de un servidor del Ayuntamiento de Redondela que contenía datos de carácter personal. La ausencia de copias de seguridad válidas correspondientes a la aplicación de gestión contable ***APLICACIÓN.1 ocasionó una brecha de disponibilidad de datos personales, de acuerdo con lo previsto en el artículo 4.12 del RGPD. Ello se deduce de las siguientes evidencias: - La parte reclamante, que inicialmente se refirió a un problema del antivirus, sin aportar ninguna documentación al respecto, aclaró en su escrito que lo que sucedió es que hubo una avería con fecha de 8-9-23 que produjo “un problema en el servidor, que no puede resolverse, debido a que la empresa que tiene la obligación de realizar las copias de seguridad, no las hacía”, aportando varios informes realizados en relación con el incidente, y un informe de cierre del incidente elaborado por un auditor experto en protección de datos de 22.11.23 que hizo constar que: “Este informe de fecha 29 de septiembre de la Coordinadora de Nuevas Tecnologías del Ayuntamiento, hace alusión al inicio del problema describiendo: “que el pasado 08 de septiembre el servidor del Concello de Redondela se averió de forma definitiva” y “que las consecuencias de la incidencia implica que desde el día 08 de septiembre de 2023 hasta el día de la fecha del informe (29/09/2023) todo el personal de los departamentos de Intervención y Tesorería, no tienen acceso a ninguna información contable del Concello de Redondela, ni de años anteriores”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 37/46 Esta información es ampliada por la propia responsable de Novas Tecnoloxías que en el correo electrónico de fecha 04 de octubre de 2023, enviado al Centro Criptológico Nacional, menciona textualmente que: “Está instalada en un servidor virtual (mediante ***APLICACIÓN.2 con acceso citrix) y las copias de seguridad se hacen diariamente con el ***APLICACIÓN.3, pero la empresa suministradora no dejó bien configuradas estas copias de seguridad para el programa de backup, con lo que estamos intentando recuperar datos de ellas pero al ser hechas con el Oracle sin parar el servicio, es complicado”. - Y, por otra parte, consta que dentro de la información contable perdida que contenía dicho aplicativo, se hallaban datos personales, en particular datos de índole económica, de acuerdo con el informe de cierre del incidente elaborado el 22-11-23 por un auditor externo contratado por el Ayuntamiento: “Según se describe en los diferentes informes aportados (Responsable de Novas Tecnoloxías y Responsable de intervención ya que los informes requeridos a las empresas ***EMPRESA.3 y Evelb, no han tenido entrada en el Registro del Ayuntamiento pese a ser requeridos de forma directa) se menciona la pérdida de acceso al aplicativo contable y tras el proceso de recuperación, desaparece definitivamente del sistema, la información contable y presupuestaria desde el día 28/07/ 2023. Dicha información contenía toda la información económica relacionados con los pagos de todo tipo de servicios externos e internos, con inclusión de datos de personas físicas responsables jurídicos de empresas privadas, así como relación personal de las horas de dedicación habitual de la jornada laboral y horas extras de los funcionarios municipales y de personal externo contratado (los que se catalogan como datos de carácter personal). Datos almacenados dentro de los sistemas electrónicos contables del Ayuntamiento, de los que se extraen (según consta) unas 34.644 operaciones de forma manual para volver a incorporarlos en las aplicaciones de gestión e la contabilidad.” Por otra parte, respecto a la duración de la brecha de disponibilidad de datos personales, consta en el expediente que: - De acuerdo con el informe de la auditora municipal de 26-10-23: “Con fecha 8 de septiembre de 2023 el departamento de intervención perdió el acceso al aplicativo contable por la avería sufrida en los servidores del Ayuntamiento de Redondela, consta informe al respecto de la Coordinadora de nuevas tecnologías en el expediente 5297/2023. Hasta el día 9 de octubre de 2023 no se recuperó una copia de seguridad del aplicativo contable, pero en el cual se había perdido la información contable y presupuestaria desde el día 28/07/2023. Una vez restaurada dicha copia de seguridad se trató de implantarla en los ordenadores y servidor nuevo habilitado para el departamento de intervención, el cual desde la recuperación de la copia ha tenido que hacer frente a diversas incidencias tanto en el funcionamiento del aplicativo contable como de la carácter técnico (…)”. - El informe de cierre del incidente de 22-11-23 concreta cómo se obtuvo la copia de seguridad: “Durante la tarde del miércoles 04 de octubre de 2023, la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 38/46 empresa empresa ***EMPRESA.1 con ayuda de una copia de seguridad alojada en un servidor de los que actualmente no estaba activo, ni en el momento de la detección del incidente y extrae la información alojada en un soporte físico. Esta copia sirve para la reconstrucción a partir de los ficheros alojados en la base de datos del servidor actual, permitiendo restablecer los mismos y sufriendo únicamente la pérdida de una parte de los archivos. Recuperando el sistema a fecha de 28 de julio de 2023, permitiendo una nueva reunión para planificar y organizar los trabajos de recuperación de los datos de los días de julio restantes, el mes de agosto completo y los ocho días de septiembre, para posteriormente introducir los datos desde la fecha del incidente en adelante”. - Y finalmente, el mismo informe de cierre del incidente señala que: “Tras haber gestionado el incidente, de la forma en la que se detalla en el informe de Gestión del Ciberincidente (se adjunta copia). A la fecha y hora de la firma y remisión del presente informe, el estado de la disponibilidad de la información es total y permite el ejercicio de derechos a los titulares de los datos, el envío de los informes del estado de cuentas, el pago a proveedores y la gestión de las subvenciones con total normalidad en cuanto a falta de disponibilidad se refiere, encontrándose el Ayuntamiento en estos momentos poniéndose al día en los pagos que no había realizado. Rebajando el nivel de peligro del Ciberincidente de alto a nivel inexistente”. Ello implica que se produjo una brecha de disponibilidad de datos personales en el Ayuntamiento con fecha de 8-9-2023, que no fue solventada totalmente hasta el 22-112023, de acuerdo con el informe de cierre del incidente, puesto que, si bien el 9-102023 consta la recuperación de una copia de seguridad de los datos personales del aplicativo contable ***APLICACIÓN.1, la fecha de la copia de seguridad se remontaba al 28-7-2023. Así, tal y como denota el informe de la interventora del Ayuntamiento de Redondela de 26-10-2023, entonces continuaban las labores de recuperación de los datos personales por parte de su departamento hasta la fecha en que se inició la brecha de datos personales. El origen de la brecha se encuentra, inicialmente, en la avería de un servidor, no obstante, su materialización y extensión en el tiempo se debió a la carencia de copias de seguridad válidas, así como de las comprobaciones sobre la validez de las mismas por parte de la reclamada. Así, en el informe de cierre del incidente emitido por un auditor externo el 22-11-23 se expresa en los siguientes términos: “Se evidencia por tanto que la decisión de contratar a la empresa ***EMPRESA.1 para la recuperación de datos a través de cualquier soporte del que pudieran disponer, era una necesidad originada por la falta de copias de seguridad válidas, que contuvieran los datos que los funcionarios encargados de introducirlos en los programas contables introducían a diario en los sistemas. Esta evidencia de que las copias no se realizaron de forma adecuada, se pone de manifiesto en el momento de intentar arrancar los sistemas C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 39/46 con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad ***EMPRESA.3 y comprobar que no son válidas. Analizado los posibles motivos por los que da fallo el sistema, se descartan motivos técnicos asociados a fallos en los discos del servidor nuevo, que es un equipo alquilado a la empresa Evelb, que posteriormente es usado para realizar copias que dan soporte a los sistemas, si bien las que se realizaban en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo ( ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos), coincidiendo la existencia de una copia de seguridad recuperada en días con los procesos apagados. Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos”. De la misma manera, constan en el expediente dos contratos suscritos con la empresa ***EMPRESA.1 especialista en recuperación de datos, que recuperó una copia de seguridad del disco duro del servidor antiguo, lo que acredita que no fue la reclamada la que logró restablecer esta disponibilidad. Por su parte, la reclamada no hace mención alguna a la falta de obtención de copias de seguridad del aplicativo contable y errores de configuración que se le imputan. No ofrece ninguna explicación al respecto de las actuaciones que llevó a cabo para restablecer las copias de seguridad y disponibilidad de los datos personales tras la avería. Refiriéndose meramente a la “supuesta falta de copias de seguridad”, sin aportar evidencias de que las mismas se realizaron, o que la empresa advirtió los errores de configuración producidos, tal y como se establecía en el contrato. Como ya se ha indicado en el apartado relativo a cuestiones previas de esta resolución, la reclamada era la responsable de realizar las copias de seguridad y comprobar que se habían realizado correctamente, de acuerdo con el punto 2.4 del Pliego de Prescripciones Técnicas del contrato suscrito con el Ayuntamiento, que fijaba lo siguiente: “2.4. Realización de copias de seguridad: Las copias de seguridad deben ser diarias y se realizarán de forma diferencial e incremental, además de la copia espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se debe realizar una copia completa al final de cada año para archivarla en el archivo municipal, además de las copias de trabajo diarias. El sistema se optimizará realizando estas copias por la noche y se comprobará su correcto funcionamiento antes de iniciar la primera copia de seguridad. El técnico de servicio indicará los servidores que se copiarán, pero estos incluirán carpetas de red con datos y aplicaciones. El sistema debe garantizar que las copias sean correctas y, en caso de error, se enviará una notificación automática al administrador del sistema. Las copias de seguridad C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 40/46 deben tener una duración mínima de una semana, para poder recuperar los datos al menos en ese periodo, sin tener que restaurar la copia completa. El funcionamiento del programa de copias de seguridad se realizará preferiblemente en segundo plano y consumirá pocos recursos. Podrá clonar discos (físicos y virtuales) o particiones completas, y permitirá restaurar el sistema en caso de fallo. Se proporcionará un NAS configurado para dichas copias, que al finalizar el contrato se transferirá al Ayuntamiento de Redondela”. En definitiva, la ausencia de copias de seguridad adecuadas, así como de comprobación de la validez de las mismas, pone de manifiesto una ausencia de medidas técnicas y organizativas exigidas por el artículo 5.1
46. f)del RGPD, que permitieron la materialización de la brecha de disponibilidad. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EVELB, por vulneración del artículo 5.1.
47. f)del RGPD VII. Tipificación de la infracción del artículo 5.1
48. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el